网络韧性法案下非欧盟制造商的义务

• 非欧盟制造商必须指定欧盟代表（第18条CRA）
• 通过代表在24小时内报告漏洞（第14条CRA）
• REP27：CRA授权代表费用490欧元/年（2026年10月公布价格）
• 服务内容及限制因供应商而异，签约前务必确认
• 不包含：合规评估、安全测试、SBOM、技术报告
• 未以自身名义销售的进口商/分销商无此义务

已更新 22 October 2026 · 4 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 22 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求：CRA关键条款

网络韧性法案（CRA，欧盟条例2024/2847）对含数字元素产品制造商在欧盟销售提出严格义务。若制造商无欧盟驻地，必须根据第18条指定欧盟授权代表。该代表作为与欧盟市场监管机构的唯一官方联系点，负责接收并转发正式请求。

另一核心义务是漏洞报告：第14条要求制造商在24小时内通报任何被积极利用的漏洞或严重安全事件。报告通过ENISA平台及协调CSIRT进行，代表所在地决定协调机构。授权代表确保沟通及时准确，尤其对跨时区或无欧盟员工的企业至关重要。

重要提示：义务仅针对制造商。进口商和分销商若未以自身名义销售，无需指定代表。通过市场平台（如亚马逊、Etsy、eBay）销售者应评估是否符合制造商定义。CRA生效前已上市产品仍须履行报告义务。

• 第18条CRA：非欧盟制造商须指定欧盟代表
• 第14条CRA：24小时内报告漏洞
• 排除对象：未以自身名义销售的进口商/分销商

如何选择CRA代表：标准、对比及关键问题

选择CRA代表是战略决策，影响合规性、事件响应速度及费用透明度。主要考虑因素：

• 公布价格及续约透明度：仅部分供应商（如REP27）公开价格及续约条件，其他需联系获取详情。
• 服务内容：务必确认授权范围：请求接收转发、可验证证书、支持漏洞报告、24/7值守等。
• 明确排除项：无代表提供合规评估、安全测试、SBOM生成或技术报告服务，均由制造商承担。
• 授权验证：优先选择提供带二维码及公开验证页面证书的供应商。
• 需询问的问题：谁签署授权？当监管机构请求时流程如何？支持哪些语言？续约费用及额外收费有哪些？

以下为服务声明对比表：

服务及价格透明是可靠性的标志，避免选择未明确说明服务内容的供应商。

价格包含内容：透明度、限制及实用对比

CRA代表授权仅涵盖法律代表及与欧盟监管机构的沟通管理。REP27公布价格（490欧元/年，续约440欧元）包含：

• 第18条CRA书面授权，电子签名
• 带二维码及公开验证页面的证书
• 接收并转发所有市场监管机构请求
• 根据CRA时限管理漏洞报告

不包含：

• 产品合规性评估（由公告机构负责，非代表职责）
• 安全测试或SBOM生成
• 技术报告撰写或发送
• 运营支持或技术咨询

多数供应商未公开服务细节：kadano（999欧元/年）和Euverify（590英镑/年）均未明确包含或排除内容。签约前务必索取详细服务清单。

注意自动续约及计费政策：REP27保证每年仅开具一张发票，且续约价格提前公布。

隐藏成本与风险：CRA合规的关键考量

代表授权费用仅为CRA合规成本一部分。主要且常被忽视的费用包括：

• 合规评估：对重要或关键类别产品，必须由公告机构参与，费用远高于代表费用。
• 技术支持与更新：制造商需保证至少五年安全更新，需投入相应资源。
• 事件管理与报告：未及时报告漏洞可能导致罚款、销售禁令及声誉损害。
• 续约及额外费用：部分供应商对非工作时间请求、额外语言或复杂事件管理收取额外费用。REP27声明无额外收费，其他供应商未明确说明。

最大运营风险是无24/7报告渠道：代表必须全天候可达，确保24小时内完成报告。

总结：CRA合规需规划、内部资源及明智选择代表，不能仅凭最低价格决策。

代表指定流程：操作步骤及最佳实践

指定CRA代表遵循明确流程，确保合规及及时响应监管请求：

1. 确认需求：是否为向欧盟销售数字产品的非欧盟制造商？若是，继续。
2. 选择供应商：比较公布价格、服务内容、授权验证方式及24/7值守情况。
3. 申请服务：填写所选供应商网站的申请表。
4. 签署授权：接收并签署第18条CRA书面授权，优选认可电子签名（如eIDAS）。
5. 获取证书：获得带二维码及公开验证页面的证书，纳入技术文档。
6. 更新内部流程：将代表信息纳入安全政策、事件响应手册及技术文档。
7. 准备报告：预填漏洞报告模板（预警、72小时通知、最终报告），指定至少两名ENISA平台提交者。
8. 确认可达性：确保代表24/7可联系，保障及时报告。

最佳实践：签约前要求供应商演练一次漏洞报告，评估响应速度及流程清晰度。

CRA合规清单（非欧盟制造商）

1. 确认是否在欧盟销售数字产品
2. 根据CRA分类产品（默认、重要I/II类、关键类）
3. 指定欧盟代表并签署第18条授权
4. 建立24/7漏洞报告渠道及流程
5. 在技术文档及内部政策中记录代表信息
6. 指定至少两名ENISA平台提交者
7. 预填漏洞报告模板（预警、通知、最终报告）
8. 为至少五年安全更新配置资源
9. 确认代表覆盖所有目标欧盟国家
10. 模拟漏洞报告以测试响应能力

供应商常忽略说明：排除项、限制及实际风险

• 授权仅限法律代表：无代表提供合规评估、安全测试、SBOM或技术支持服务。
• 主要成本为内部资源：CRA合规需工程支持、技术更新，非代表服务范围。
• 自动续约及价格不透明：部分供应商未公布续约价格或存在不透明涨价。REP27提前公布续约价格。
• 值守不一定全天候：24/7可达性非所有供应商保证，签约前务必确认非工作时间处理方案。
• 责任有限：代表仅负责沟通传递，不承担产品技术责任。
• 按请求收费：部分供应商对复杂请求、额外语言或非工作时间事件管理收取额外费用，签约前确认。

决策矩阵：谁需指定CRA代表

此矩阵帮助快速判断基于角色及业务模式的代表指定义务。

实际案例：三种场景及简易解决方案

• 美国SaaS：美国企业向欧盟客户提供软件平台，需指定CRA代表，准备漏洞报告渠道并纳入技术文档。解决方案：REP27，490欧元/年，24/7值守，证书可验证。
• 中国亚马逊卖家：若为数字产品制造商，需指定代表并准备报告文档；若仅为转售/进口，无此义务。解决方案：根据CRA定义确认身份，必要时指定代表。
• 英国店铺：生产并销售数字设备至欧盟，需指定代表并准备报告流程；仅进口第三方产品无义务。解决方案：明确供应链角色，选择价格透明且24/7值守的供应商。

所有案例中，选择透明供应商有助降低风险及意外成本。